cPanel і WHM: обхід входу CVE-2026-41940 — перевірка й оновлення

Що сталося

CVE-2026-41940 — обхід перевірки автентифікації в cPanel, WHM і WP Squared. Оцінка NVD — 9.8 за шкалою CVSS 3.1 і 9.3 за CVSS 4.0. Вразливість дає змогу потрапити в панель без пароля, тобто отримати доступ до всіх сайтів, баз даних і пошти на сервері.

Агентство CISA внесло її до переліку вразливостей, що використовуються в реальних атаках. За повідомленнями дослідників, атаки тривали з кінця лютого 2026 року — за два місяці до виходу латки, а публічний приклад експлуатації з’явився наступного дня після неї.

Кого стосується

Уражені всі збірки cPanel і WHM після 11.40 — тобто практично всі робочі установки, які не оновлювалися після 28 квітня 2026 року. Окремо вразливий WP Squared.

Як перевірити свою збірку

/usr/local/cpanel/cpanel -V
cat /usr/local/cpanel/version

Порівняйте номер з виправленими збірками своєї гілки:

Номери збірок наведено за зведеннями дослідників. Перед оновленням звірте їх з офіційним повідомленням cPanel: у пізніших збірках закрито ще три вразливості того самого продукту, що дають змогу читати файли, виконувати код і підвищувати привілеї.

Як оновитися

/usr/local/cpanel/scripts/upcp --force
/usr/local/cpanel/cpanel -V

Оновлення триває від кількох хвилин до пів години залежно від сервера. Сайти при цьому продовжують працювати: перезапускаються лише служби панелі.

Якщо оновитися просто зараз неможливо

Закрийте порти панелі на міжмережевому екрані, залишивши доступ лише зі своїх адрес. Порти cPanel і WHM: 2082, 2083, 2086, 2087, 2095, 2096.

sudo firewall-cmd --permanent --remove-port=2087/tcp
sudo firewall-cmd --permanent --add-rich-rule='rule family=ipv4 source address=ВАША.АДРЕСА/32 port port=2087 protocol=tcp accept'
sudo firewall-cmd --reload
sudo systemctl restart cpsrvd

Перезапуск служби cpsrvd обов’язковий, інакше правило не набуде чинності для поточних сесій. Це тимчасовий захід: він закриває панель від сторонніх, але не усуває саму вразливість.

Що перевірити після оновлення

Вразливість використовували понад два місяці до появи латки, тому самого оновлення недостатньо — треба переконатися, що ніхто не зайшов раніше.

1. Список користувачів WHM: чи не з’явилося облікових записів, яких ви не створювали.
2. Журнал входів: grep -i 'login' /usr/local/cpanel/logs/access_log | tail -100.
3. Завдання cron в усіх користувачів: for u in $(ls /var/cpanel/users); do echo "== $u"; crontab -l -u "$u" 2>/dev/null; done.
4. Ключі SSH: find /home -name authorized_keys -newermt '2026-02-01' -ls.

Докладний розбір ознак зламу — в окремій статті нашої бази знань.

Поширені запитання

У мене ввімкнено автооновлення cPanel, я в безпеці?

Перевірте фактичну збірку командою /usr/local/cpanel/cpanel -V. Автооновлення інколи вимикається після ручного втручання або завершується помилкою через брак місця.

Чи допомагає двофакторна перевірка в панелі?

Ні. Вразливість обходить сам механізм автентифікації, тому другий фактор не запитується.

Я не користуюся WP Squared, він усе одно небезпечний?

Якщо компонент установлено, він вразливий незалежно від того, користуєтеся ви ним чи ні. Оновіть або видаліть його.

Що робити клієнтам ZevsHost?

На серверах загального хостингу панель оновлюємо ми. Якщо у вас VPS або виділений сервер із cPanel, оновлення за вами — сервер перебуває під вашим керуванням.